Category Archives: Assicurazioni cyber risk

Gestione del rischio: +34% nel ROI per le aziende più attente +39% nel ROE

Gestione del rischio: + 34% nel ROI per le aziende più attente e + 39% nel ROE

La gestione del rischio, se ne parla abbastanza? Eppure nelle aziende conviene: +34% Return on Investment – ROI e +39% di Return on Equity – ROE. Lo dice l’Osservatorio Cineas-Mediobanca presentato oggi al Politecnico di Milano. Se hai un’azienda, anche se in questo momento stai rilassandoti online, facci un pensierino. C’è chi l’ha già fatto: le imprese che gestiscono i rischi nella modalità più evoluta in Italia sono passate dal 17,2% del 2016 al 37,5% del 2018. Parliamo dei settori alimentare, beni per la persona e la casa, chimico farmaceutico, meccanico e metallurgico. 

Secondo Massimo Michaud, Presidente di Cineas, Consorzio universitario non profit fondato dal Politecnico di Milano nel 1987: “Dai risultati della ricerca emerge che la gestione integrata dei rischi caratterizza le imprese più performanti sul mercato”. A livello geografico le regioni del nord-est si classificano nelle prime posizioni per l’attenzione ai rischi; mentre tra i settori il chimico-farmaceutico e l’alimentare si distinguono per essere virtuosi. Milano, 6 novembre 2018 – La novità del 2018 è che le imprese che gestiscono i rischi nella modalità più evoluta sono passate dal 17,2% del 2016 al 37,5% nel 2018. La conferma è che continua ad evidenziarsi una correlazione positiva tra performance economiche e gestione integrata dei rischi: oltre un terzo di ritorni in più (+34% Return on Investment – ROI e +39% di Return on Equity – ROE) per le aziende attente ai rischi. Inoltre, è una buona notizia che, nello stesso periodo, la percentuale di aziende sprovviste di un sistema di gestione dei rischi è passata da quasi il 20% a circa il 6%. 


Sono i risultati della VI ed. dell’Osservatorio Cineas-Mediobanca sulla diffusione del risk management nelle medie imprese italiane, ricerca annuale che nel 2018 ha avuto 308 aziende rispondenti attive nei settori: alimentare, beni per la persona e la casa, chimico farmaceutico, meccanico e metallurgico. Il fatturato medio delle aziende rispondenti
è di 58,2 milioni di euro con 151 dipendenti. A livello geografico le aziende più virtuose si trovano nel nord est d’Italia, seguite dal nord ovest e dal centro, mentre emerge un significativo ritardo delle aree meridionali. Un’impresa su tre del Mezzogiorno non dispone di un adeguato presidio del rischio, contro la media nazionale di una su cinque imprese. I settori più virtuosi sono il chimico-farmaceutico e l’alimentare. “La nostra ricerca ci ha permesso di sottolineare come il governo dell’impresa debba ricomprendere la gestione dei rischi – commenta il Presidente di Cineas, Massimo Michaud –. Le aziende più attente alla gestione del rischio guadagnano di più e sono più propense all’innovazione. In particolare, è importante che il management sia edotto sui rischi operativi dell’azienda in quanto nel 57% dei casi è responsabile di questa funzione. La gestione del rischio esce dalla sfera delle funzioni specialistiche per permeare l’attività dell’impresa nel suo complesso”. 

LA RASSEGNA DEI RISCHI ESAMINATI DALLA RICERCA: DAL PASSAGGIO GENERAZIONALE AL CYBER RISK 
Il passaggio generazionale. Il passaggio generazionale è considerato come un fattore di elevata criticità dall’80% delle aziende intervistate. Le MI italiane del campione hanno quasi 50 anni di storia imprenditoriale e vedono alla guida più frequentemente la seconda generazione (41,3% dei casi) e la prima generazione (34,9%). Governance “aperta”, performance migliore. La maggioranza dei CEO (81%) proviene dalla famiglia proprietaria dell’azienda, ma con il progredire delle generazioni aumenta la probabilità di assunzione di un CEO esterno alla famiglia, che in genere è più giovane e, più frequentemente, ha un grado di istruzione universitaria. Questo modello di governance “aperta” porta performance economiche migliori, rispetto alle aziende dove permane la sovrapposizione tra proprietà e gestione familiare (ROI: 13,2% vs 10,2%). 

Le imprese italiane e Industry 4.0. 
In tema di innovazione l’indagine ha preso in esame le azioni intraprese dalle aziende per sfruttare le opportunità derivanti da Industry 4.0. Solo il 23,2% delle imprese ha investito sia nell’innovazione dei macchinari che dei processi, mentre il 36% delle imprese non ha ancora attuato nessun tipo di trasformazione. I dati evidenziano che le imprese che si sono attivate per l’adozione delle innovazioni tecnologiche hanno performance economiche migliori di quelle che sono indifferenti o in ritardo rispetto a Industry 4.0. 

Una quota notevole di imprese che si è cimentata con Industry 4.0 (30%), lo ha fatto dotandosi delle skills necessarie tramite piani di formazione interna (già realizzati o in programma per il 77,7% dei rispondenti) o tramite acquisizione di risorse esterne specializzate (20%). “In questo rinnovato scenario si evidenzia la sempre maggiore centralità che stanno assumendo i cosiddetti asset intangibili – intendendo con questa espressione il know how, il valore del brand, la reputazione, gli investimenti nella formazione – per le performance dell’impresa” osserva Gabriele Barbaresco, Direttore dell’Ufficio Studi di Mediobanca commentando i risultati della ricerca. Rilevanza e impatto economico dei singoli profili di rischio. Nella gestione dell’azienda i rischi derivanti dagli obblighi normativi figurano stabilmente tra le preoccupazioni prioritarie delle imprese (sicurezza sul lavoro e difettosità del prodotto). Al quarto posto troviamo il rischio reputazionale. Rispetto a quest’ultimo profilo il 57% delle imprese ritiene il rischio reputazionale non assicurabile; inoltre, rispetto a tale rischio le aziende percepiscono un divario tra esposizione ed efficacia delle attività con cui esso è presidiato. 

Risorse coinvolte nel sistema di gestione dei rischi. 
Solo il 16,4% delle aziende impiega unicamente risorse interne per la gestione dei rischi, mentre nell’82,3% dei casi l’azienda ricorre all’affiancamento di un partner esterno. L’imprenditore si rivolge nel 37,7% dei casi a consulenti d’impresa, nel 27,1% ai broker e solo nel 17,5% dei casi alle assicurazioni. I rischi e la loro assicurabilità. Vi sono alcuni rischi che le imprese percepiscono come non assicurabili, tra i quali ad esempio il rischio di danno ambientale (rispetto al quale sono assicurate il 58% delle imprese). Il ricorso all’assicurazione coinvolge meno di un terzo degli intervistati per i seguenti rischi: business continuity e supply chain (il 32% delle imprese è assicurato), cyber risk (23% di imprese assicurate), tutela delle competenze professionali ex aequo con il rischio reputazionale (19% di assicurati) e imitazione del prodotto (13%). La causa del basso ricorso all’assicurazione è duplice: da una parte la mancata conoscenza dell’offerta assicurativa, dall’altra la percezione che l’evento dannoso abbia una bassa probabilità di verificarsi. Il costo delle polizze non sembra invece rappresentare il motivo principale della rinuncia (solo 25% dei casi). 

Formazione sulla gestione del risk management. 
Secondo la ricerca, il 70% delle imprese prevede di realizzare corsi sul tema della gestione dei rischi rivolti principalmente a figure operative dell’azienda. “Tuttavia vista la centralità dell’argomento per la governance è opportuno valutare il coinvolgimento del management aziendale” conclude il Presidente di Cineas. 

AUTORI E PARTNER DELLA RICERCA: OSSERVATORIO SULLA DIFFUSIONE DEL RISK MANAGEMENT NELLE MEDIE IMPRESE ITALIANE 
L’indagine – realizzata annualmente da Cineas in collaborazione con l’Ufficio Studi Mediobanca – nel 2018 è condotta con i seguenti partner: le compagnie assicurative Helvetia e Reale Mutua; la Società di brokeraggio Mansutti; la Società di bonifica e ripristino Benpower e la Società peritale C&P. 

(fonte: IlBroker.it)

Nel 2017 ben 28.500 allarmi hacker e il 2018 non parte meglio. Le aziende devono correre ai ripari


Nel 2017 ben 28.500 allarmi hacker e il 2018 non parte meglio.

Le aziende devono correre ai ripari.

Ci voleva anche la falla scoperta nei processori dei principali dispositivi digitali denunciata da un gruppo di esperti del settore, presente a loro dire da almeno dieci anni! Già il 2017 è stato un anno difficile per la sicurezza informatica e il 2018 è cominciato anche peggio. Per la precisione sono state individuate due tipologie di vulnerabilità: la prima, denominata Meltdown, coinvolge i processori realizzati da Intel; la seconda, Spectre, coinvolge invece i processori realizzati da Arm e Amd, oltre a quelli di Intel, ed è stata scoperta solo dal team Google di Project Zero.

A confermare la presenza di queste anomalie è stata anche Apple. L’azienda di Cupertino ha infatti ammesso che “tutti i sistemi Mac e i dispositivi iOs sono interessati dai problemi di sicurezza noti come Meltdown e Spectre”.

Siamo tutti a rischio, soprattutto le imprese. Solo in Italia, secondo i dati diffusi dalla Polizia Postale, le minacce informatiche contro le infrastrutture critiche nazionali l’anno scorso sono cresciute di cinque volte rispetto al 2016. Nel dettaglio sono scattati circa 28.500 allarmi hacker, mentre gli attacchi veri e propri hanno toccato quota 1006.

Il 2018 sarà dunque l’anno in cui le Compagnie assicurative dovranno farsi carico seriamente del problema.

La sicurezza informatica investe il mondo assicurativo sotto un duplice aspetto: come per essere le compagnie maggiormente esposte vista la quantità immensa di dati che custodiscono e che le rendono molto appetibili ai malintenzionati. Allo stesso tempo sono esse stesse a dover tutelare dai rischi gli altri settori di attività e i nuovi modelli di polizze legati all’internet of things (l’internet delle cose), per esempio ai dispositivi smart home, scontano il fatto che questi nuovi tipi di device sono altrettanto vulnerabili.

Ma è necessario che fra le imprese italiane aumenti ancora molto la percezione del rischio informatico come elemento fra i prioritari della gestione del rischio complessiva, come sta avvenendo nel mercato globale. Maria Bianca Farina, presidente dell’Ania, ha sottolineato recentemente:

“Finora abbiamo trattato il cyber risk con riferimento ai clienti corporate che per primi hanno cominciato a pensare ai rischi che possono derivarne. Ma il tema sta diventando rilevante anche per altri settori come, ad esempio, il retail. Per questo stiamo studiando contratti di assicurazione e ci aspettiamo una grande evoluzione. Pensate che il costo annuo globale legato alle frodi informatiche è stimato in un intervallo tra 100 miliardi e 1 trilione di dollari e il costo medio di incidente oscillerebbe tra 2 e 4 milioni di dollari. Si è stimato, inoltre, che questi rischi potrebbero avere l’incidenza di un mezzo punto percentuale sul PIL degli Stati Uniti o di un punto su quello tedesco. Secondo l’Insurance Information institute i premi per coperture cyber risk raddoppieranno in pochissimo tempo fino a raggiungere i 7,5 miliardi entro il 2020”.

La società UK Aon, attiva nei servizi finanziari e nella sicurezza informatica, ha in questi giorni pubblicato il suo ‘2018 Predictions: Trends in Cybersecurity’ in cui evidenzia come, oltre alla crescente e quasi incontrollata minaccia che si sta vivendo, si sia giunti alla situazione in cui il Chief Risk Officer diventerà una figura centrale nelle aziende, poiché la minaccia informatica perderà quel ruolo un po’ marginale che ha avuto finora per rientrare a pieno titolo (forse tra i principali) rischi aziendali. I dirigenti delle società ora sono finalmente consapevoli della gravità dei rischi (compresi guadagni ridotti, interruzioni operative e reclami contro amministratori e funzionari) e correranno ai ripari sottoscrivendo polizze cyber risk specifiche e su misura piuttosto che fare affidamento su componenti “silenziose” riposte in altre polizze. L’adozione di polizze cyber risk si estenderà oltre gli acquirenti tradizionali, ai settori della vendita al dettaglio, finanziario e sanitario, alla produzione, trasporto, servizi pubblici.

“Nel 2017, gli hacker hanno creato scompiglio attraverso una serie di leve, dagli attacchi di phishing che hanno influenzato le campagne politiche ai cryptoworms ransomware che si sono infiltrati nei sistemi operativi su scala globale. Con la crescita dell’Internet of Things (IoT), abbiamo anche assistito a proliferazione degli attacchi DDoS (distributed denial-of-service) sui dispositivi IoT, che paralizzano la funzionalità del dispositivo “, ha dichiarato Jason J. Hogg, CEO di Aon Cyber Solutions. “Nel 2018, prevediamo un’esposizione cibernetica più ampia a causa della convergenza di tre tendenze: in primo luogo, il crescente ricorso da parte delle aziende alla tecnologia, in secondo luogo, l’intensificarsi della protezione dei dati dei consumatori e, in terzo luogo, il valore crescente delle attività non fisiche. “.

Il problema della sicurezza informatica è naturalmente globale e altrettanto globale sarà il trend di crescita delle polizze cyber risk. Per esempio, in India il boom si è già sentito: nel 2017 il mercato è cresciuto del 50%. L’Insurance Information Institute ha previsto che i premi per coperture cyber risk raggiungeranno i 7,5 miliardi entro il 2020. (fonte InsuranceUp)

Dalla rete opportunità ma anche molti rischi e le contromisure tecnologiche non bastano

Dalla rete opportunità ma anche molti rischi e le contromisure tecnologiche non bastano.

L’importanza di un’adeguata tutela assicurativa

L’ingresso del web nella vita di tutti noi ha rappresentato dagli anni Novanta una progressiva rivoluzione copernicana in moltissimi aspetti del nostro quotidiano, sia nelle attività professionali che di studio e di svago; ha modificato e sta modificando i nostri costumi nelle relazioni, negli acquisti, nelle convinzioni politiche. Non esistono probabilmente aspetti della vita moderna che possano dirsi completamente esenti da qualche interazione con le nuove tecnologie e con la rete.

I testi sacri, nonché le linee guida internazionali nella “Gestione del rischio” identificano cinque grandi famiglie di criticità da tenere sotto controllo: rischi operativi, rischi finanziari, rischi strategici, rischi organizzativi, rischi di pianificazione aziendale e di reporting.

I rischi derivanti dal web, cosiddetti “cyber risk”, proprio in virtù di quanto dicevamo in apertura di articolo, possono trasversalmente riguardare tutte le cinque suddivisioni tradizionali suddette, configurandosi come una sorta di “macro-categoria” determinata dall’evoluzione tecnologica.

Più precisamente, il rischio informatico può essere definito come il rischio di danni economici (rischi diretti) e di reputazione (rischi indiretti) derivanti dall’uso della tecnologia, intendendosi con ciò sia i rischi impliciti nella tecnologia (i cosiddetti rischi di natura endogena) che i rischi derivanti dall’automazione, attraverso l’uso della tecnologia, di processi operativi aziendali (i cosiddetti rischi di natura esogena).

I rischi propriamente detti di natura endogena sono:

· Naturali: incendi, calamità naturali, inondazioni, terremoti.

· Finanziari: variazione dei prezzi e dei costi, inflazione.

· Strategici: concorrenza, progressi scientifici, innovazioni tecnologiche.

· Errori umani: modifica e cancellazione dei dati, manomissione volontaria dei dati.

Quelli di natura esogena, o di natura operativa, sono invece i rischi connessi alle strutture informatiche che compongono i sistemi. E cioè:

· Danneggiamento di hardware e software.

· Errori nell’esecuzione delle operazioni nei sistemi.

· Malfunzionamento dei sistemi.

· Programmi indesiderati.

Quali ne possono essere le cause? I programmi “virus”, concepiti per insinuarsi nelle funzioni dei sistemi informatici, ma anche le truffe informatiche e dobbiamo estendere la casistica anche ad aberranti tipologie come la pedopornografia, il cyberbullismo, i ricatti a sfondo sessuale derivanti da video chat on line.

Ne deriva che siamo oggi chiamati a una presa di coscienza, a un adeguamento culturale che faccia maturare una piena consapevolezza del concetto di sicurezza informatica, l’unica che possa davvero metterci al riparo da sgradevoli sorprese.

Le statistiche sono impietosamente inquietanti: ogni giorno vengono compiuti migliaia di attacchi informatici attraverso le tecniche più varie e termini come malware, ransomware, trojan horse, account cracking, phishing, 0-dayvulnerability sono diventati parte del vocabolario anche per i non esperti.

J. Edgar Hoover, capo dell’FBI (Federal Bureau of Investigation) moltissimi anni fa affermava: “L’unico computer a prova di hacker è quello spento, non collegato a Internet e chiuso a chiave in una cassaforte”. Possiamo dire che sia così davvero. Purtroppo, appena un computer viene acceso diventa potenzialmente vulnerabile e può essere attaccato, ad esempio durante l’installazione di eventuali aggiornamenti al sistema operativo. Ne avete appena fatto uno? Non vorremmo mettervi qualche preoccupazione addosso, ma…

Sono insomma necessarie delle contromisure specifiche, professionali, estese, ben concepite. Quelli che un tempo chiamavamo i “calcolatori”, i computer che entrano in ogni aspetto della nostra vita e dell’attività di aziende, enti, professionisti, oltre alle reti di telecomunicazione, necessitano di protezione anche se come in qualsiasi ambiente la sicurezza assoluta non è concretamente realizzabile.

Il modo per proteggersi è imparare a riconoscere le origini del rischio. Gli strumenti di difesa informatica sono molteplici, si pensi antivirus, antispyware, blocco popup, firewall ecc., ma tuttavia non sempre si rivelano efficienti, in quanto esistono codici malevoli in grado di aggirare facilmente le difese, anche con l’inconsapevole complicità degli stessi utenti.

Di recente si sta assistendo alla nascita di una nuova modalità di prevenzione del rischio informatico: il Trusted Computing. L’espressione inglese Trusted Computing (TC, letteralmente informatica fidata o calcolo fidato) si riferisce ad una tecnologia nascente con l’obiettivo dichiarato di rendere dispositivi come computer o telefoni cellulari più sicuri mediante l’uso di opportuni hardware o software.

Il TC si basa sull’uso della crittografia. Dunque l’obiettivo del TC non è quello di introdurre nuovi strumenti software per fronteggiare i rischi ed attacchi connessi a sistemi informatici e a reti di telecomunicazioni, ma bensì di costruire sistemi hardware o software non abilitati a determinate funzioni in grado di comprometterne la sicurezza, nonché il controllo attraverso Internet, del rispetto delle limitazioni di funzionalità da parte degli utenti dei sistemi.

Il Risk management

Un altro aspetto di notevole importanza del rischio informatico e di interesse per gli studi professionali su cui dobbiamo soffermare la nostra attenzione è il risk management.

Si tratta di quel processo attraverso il quale si misura o si stima il rischio e successivamente si sviluppano le strategie per fronteggiarlo.

La gestione del rischio, così come descritto nella Convenzione Interbancaria per i problemi dell’Automazione (CIPA) nel rapporto sul rischio informatico si articola in diverse fasi:

· Identificazione del rischio;

· Individuazione delle minacce;

· Individuazione dei danni che possono derivare dal concretizzarsi delle minacce e la loro valutazione;

· Identificazione delle possibili contromisure per contrastare le minacce arrecate alle risorse informatiche.

Diverse sono le modalità di gestione del rischio. A seconda del livello di rischio che un soggetto sia esso un’azienda, persona o ente ritiene accettabile si distinguono:

· Evitare: si modificano i processi produttivi, modalità di gestione ed amministrazione con lo scopo di eliminare il rischio.

· Trasferire il rischio ad un altro soggetto: il trasferimento del rischio avviene nei confronti di assicurazioni, partner e si tratta principalmente di rischi economici perché più facilmente quantificabili.

· Mitigare: consiste nel ridurre, attraverso processi di controllo e verifica, la probabilità del verificarsi del rischio o nel limitarne la gravità delle conseguenze nel caso in cui si verifichino.

· Accettare: ossia assumersi il rischio ed i relativi costi.

Dobbiamo quindi affidarci a professionisti preparati per fornire tutti questi requisiti tecnici operativi, ma altrettanto importante è considerare anche l’impossibilità di poter evitare al cento per cento le probabilità di qualche falla e considerare assolutamente anche strategie assicurative adeguate, per limitare i danni che possono derivare dal malfunzionamento dei nostri sistemi, della gestione di dati sensibili della clientela, dell’erogazione di servizi e prestazioni peculiari delle nostre attività.